Bearer token, Authorization başlığında `Authorization: Bearer <token>` biçiminde gönderilir ve isteği sadece sunulmuş olmakla yetkilendirir. İstek üzerinde bir imza yoktur, gönderenin token’ın verildiği taraf olduğuna dair bir kanıt yoktur: token’ın kendisi kimlik bilgisinin tamamıdır — “bearer”, yani “hamiline”, tam olarak bu demektir.
Sunucu token’ı doğrular — ya kayıtlarında arayarak ya da JWT gibi kendi içinde taşıyorsa imzasını sınayarak — ve çağıranın kimliğini ve yetkilerini oradan çıkarır. Eksik ya da geçersiz token 401’dir. Geçerli ama bu işlemi yapmaya yetkisi olmayan bir token 403’tür; aradaki fark önemlidir, çünkü ikisinden yalnızca biri yeni bir token alarak çözülür.
Süresi dolduğu için bearer token’ı URL’ye koymanın güvenli olduğu sanılır. URL’ye giren her şey sunucu günlüklerine, tarayıcı geçmişine, referrer başlıklarına ve analitiğe girer. Bearer token’ın yeri, TLS üzerinde bir başlıktır: kısa ömürlü ve bir yenileme mekanizmasına bağlı.
Kilit işaretli her uç nokta `qa-admin-token` ya da `qa-viewer-token` kabul eder. 401/403 ayrımını görmenin en temiz yolu viewer token’ı bir DELETE üzerinde denemektir: token geçerlidir, cevap yine de hayırdır.
Tüm sözlük maddeleri · Test teknikleri · 39 mock REST API’nin tamamı
Last updated